Definire il prodotto prima di scegliere le prove
Immettere una serratura intelligente sul mercato UE non significa ottenere un unico «certificato CE». Una serratura Bluetooth a batteria può essere insieme apparecchiatura radio, dispositivo elettronico, prodotto digitale di sicurezza e componente di una porta. L’analisi deve riguardare il modello finito, i collegamenti radio, il software e la porta prevista, non soltanto il certificato del modulo Bluetooth.
Definire il prodotto prima di scegliere le prove
Registrare queste informazioni per ogni codice prodotto, versione del firmware e kit commercializzato. Serratura, gateway opzionale, app, alimentatore e cilindro venduto separatamente possono avere qualificazioni diverse.
- Radio: BLE, Wi‑Fi, Thread/Zigbee, NFC, bande, potenza, antenna, restrizioni nazionali e gateway.
- Connettività: la serratura può scambiare dati internet direttamente o tramite telefono/hub? Distinguere apertura remota e locale.
- Dati: nomi, chiavi ospiti, registri degli accessi, biometria, cloud, tempi di conservazione e titolare.
- Montaggio: motore retrofit o serratura elettromeccanica completa; porta tagliafuoco/via di esodo, batterie scariche e sblocco manuale.
- Kit: batterie, caricatore, confezione, marchio, primo paese UE di vendita e importatore.
Variante senza radio: una serratura elettronica a tastierino non ricade nella RED soltanto perché esiste un’app o un accessorio separato. Per gli apparecchi elettronici interessati valutare la direttiva EMC 2014/30/UE; la direttiva bassa tensione 2014/35/UE riguarda solo apparecchi rientranti nei limiti di 50–1.000 V CA o 75–1.500 V CC, fatte salve le esclusioni. Per la serratura radio finita, la RED comprende già gli obiettivi di sicurezza elettrica ed EMC: non duplicare automaticamente tali procedure per lo stesso apparecchio.
Matrice delle norme UE applicabili alla serratura
| Normativa / presupposto | Effetto sul prodotto | Prova / decisione |
|---|---|---|
| RED 2014/53/UE – radio | Normalmente applicabile al dispositivo finito che emette/riceve intenzionalmente onde radio: sicurezza, EMC e spettro. Gli obiettivi di sicurezza RED non prevedono soglia di tensione. | Schema RF, test radio/EMC/sicurezza, norme armonizzate pubblicate in GU, dichiarazione UE e CE. |
| Sicurezza informatica RED – internet/dati/pagamenti | Dal 1° agosto 2025 il 2022/30 attiva art. 3(3)(d) per radio connesse a internet, (e) secondo i dati trattati, (f) per trasferimenti di denaro/valore. Non per tutti i dispositivi wireless automaticamente. | Schema connessioni/dati, rischi delle chiavi remote, EN 18031 e deroghe. |
| RoHS 2011/65/UE – elettronica | Generalmente pertinente per serrature elettroniche nel campo di applicazione, con limiti alle sostanze pericolose ed eventuali esenzioni. | Dichiarazioni sui componenti/materiali e prova relativa al prodotto finito. |
| RAEE 2012/19/UE – rifiuti elettronici | Possibili registrazione nazionale del produttore, finanziamento raccolta e bidone barrato; non è una seconda certificazione CE. | Categoria RAEE, responsabilità estesa nei paesi di vendita ed etichetta. |
| Batterie 2023/1542 – pile incluse | Verificare categoria e obblighi; removibilità/sostituibilità delle batterie portatili ex art. 11 dal 18 febbraio 2027, salve eccezioni. | Dati batteria, smaltimento, istruzioni e futura revisione del progetto. |
| GDPR 2016/679 – dati personali | Account, chiavi digitali, biometria e log riferibili a persone richiedono base giuridica, ruoli, informativa e sicurezza; GDPR non equivale alla marcatura CE. | Flussi, titolare/responsabile, informative, accessi, conservazione e contratti. |
| CRA 2024/2847 – sicurezza digitale | L’allegato III include i prodotti di sicurezza per la casa intelligente, comprese le serrature smart, tra i prodotti importanti di classe I; la classificazione non è però automatica. Il regolamento di esecuzione 2025/2392 (categoria 17) richiede prodotti digitali che proteggono la sicurezza fisica dei consumatori in ambito residenziale e possono essere controllati o gestiti da remoto da altri sistemi; include i sistemi di controllo centrale. Una serratura solo alberghiera o priva di tali funzioni non è automaticamente categoria 17: esaminare il prodotto completo e le altre categorie CRA. Gli obblighi principali si applicano in generale dall’11 dicembre 2027; le segnalazioni dell’art. 14 dall’11 settembre 2026 anche per prodotti già immessi sul mercato e soggetti al CRA (art. 69, par. 3). | Documentare l’uso residenziale o professionale, il controllo remoto, la funzione principale, la categoria 2025/2392, le segnalazioni e l’iter futuro. |
| Edilizia/esodo e GPSR 2023/988 | Per porte speciali o vie di esodo occorre verificare autonomamente norme sui prodotti da costruzione, ferramenta e posa. GPSR riguarda rischi residui del consumatore non coperti da norme settoriali. | Dichiarazioni sulla porta, EN 14846/esodo, guasti e limiti di montaggio. |
| Imballaggi 2025/40 | PPWR si applica per fasi, in generale dal 12 agosto 2026; imballaggi e obblighi nazionali del produttore sono separati da RED. | Materiali, informazioni dei fornitori, responsabilità nazionale e fase delle etichette. |
Occorre distinguere due verifiche: la categoria 17 del CRA considera il controllo o la gestione a distanza da un altro sistema di prodotti che tutelano la sicurezza fisica dei consumatori nelle abitazioni. Diversamente dal requisito ciber della RED, tale descrizione non richiede una connessione a internet. Anche una serratura BLE gestita localmente via telefono può quindi richiedere la classificazione CRA, classe I, categoria 17, pur non essendo connessa a internet ai sensi di RED 2022/30. La parola «smart» non determina nessuno dei due esiti.
Internet, dati personali e pagamenti: requisiti distinti
La semplice presenza di un’app non dimostra che la serratura sia «connessa a internet» secondo l’atto delegato. Occorre stabilire se il dispositivo radio può scambiare dati internet direttamente o tramite apparecchi intermedi, in base ai protocolli effettivi. Il regolamento delegato 2026/339 abroga le norme cyber 2022/30 dall’11 dicembre 2027, quando partono gli obblighi principali CRA; resta la sorveglianza dei dispositivi soggetti alla disciplina immessi sul mercato dal 1° agosto 2025 al 10 dicembre 2027.
| Configurazione | Domanda su RED 3(3) | Verifica necessaria |
|---|---|---|
| BLE locale; app senza inoltro online dei dati | RED di base applicabile; internet sul telefono da solo non rende connessa la serratura. | Provare architettura offline ed eventuali altre categorie. |
| Gateway e cloud; apertura remota e ospiti | Il percorso internet indica (d); (e) se vengono trattati dati personali/traffico/posizione pertinenti. | Mappare serratura–hub–cloud, autenticazione, aggiornamenti, revoca e log. |
| Impronte digitali conservate in locale | Biometria comporta rischi per i dati e la sicurezza fisica, ma non equivale automaticamente a collegamento internet. | Trattamento biometrico, ruoli, apertura alternativa e altre categorie RED (e). |
| Pagamenti o trasferimenti di valore tramite serratura | (f) riguarda dispositivi radio online capaci di trasferire denaro/valore; un abbonamento pagato su sito esterno non basta. | Funzioni finanziarie, EN 18031-3 e limiti della pubblicazione in GU. |
Ferramenta, vie di esodo e rischi meccanici
La dichiarata resistenza all’effrazione non prova l’idoneità per porte tagliafuoco o vie di fuga. EN 14846 riguarda particolari serrature e contropiastre elettromeccaniche, non qualsiasi motore retrofit. Valutare se si applicano regole sui prodotti da costruzione e se servono prove dell’intero sistema porta. Verificare uscita interna, sblocco meccanico, batteria esaurita, catenaccio bloccato, allarme antincendio e compatibilità. Non promettere impiego nelle vie di esodo senza prove per la configurazione installata.
Fascicolo probatorio tecnico della serratura
| Documento / responsabile | Elementi da comprovare |
|---|---|
| Definizione del prodotto – fabbricante | Varianti, porte, batterie, bande, gateway, app, versioni software e accessori. |
| Mappa normativa – conformità | Decisioni datate per RED, cyber, RoHS, batterie, RAEE, imballaggi, GDPR, CRA e porte. |
| Rapporti radio/EMC/sicurezza – laboratorio | Antenna, involucro, alimentazione definitivi, rischi e norme armonizzate selezionate. |
| Modello di minaccia – sicurezza | Associazione, scadenza/revoca chiavi, abuso sblocco remoto, aggiornamenti OTA, cloud non disponibile e password. |
| Prove di porta/guasto – ingegneria | Uscita con batteria scarica, blocco o incendio, limiti di posa e test meccanici. |
| Prove dei fornitori – acquisti | RoHS, dati batterie, modifiche; certificato del solo modulo non sufficiente. |
| Dichiarazione UE ed etichette – fabbricante/importatore | Dichiarazione firmata, codice modello, CE/RED, istruzioni nelle lingue richieste. |
| Post-vendita – responsabile | Segnalazioni vulnerabilità, correzione/ritiro, supporto, versioni e registrazioni ambientali. |
Responsabilità e ricorso a un organismo notificato
Chi commercializza la serratura finita col proprio marchio è generalmente fabbricante, anche se la costruzione è affidata a terzi. Per i prodotti coperti occorre un operatore economico competente stabilito nell’UE; l’importatore ha obblighi autonomi di controllo e tracciabilità. La RED richiede di conservare fascicolo tecnico e dichiarazione UE per dieci anni dopo l’immissione sul mercato.
Il CE consegue alla valutazione di conformità; non esiste un ente UE che emetta un «certificato CE» universale. L’art. 17 RED consente controllo interno per l’art. 3(1). Per spettro e cybersicurezza degli artt. 3(2)/(3), l’applicazione integrale delle norme armonizzate citate nella GU determina se sia possibile il controllo interno o serva un organismo notificato. Le EN 18031 sono state pubblicate con restrizioni dalla decisione 2025/138; l’iter CRA classe I resta distinto.
Per la classe I CRA, l’art. 32, par. 2, consente il controllo interno solo se norme armonizzate, specifiche comuni o schemi di certificazione di cibersicurezza idonei sono integralmente applicati. Se mancano o sono applicati solo in parte, per i requisiti coinvolti occorre la procedura di terzi B+C o H. L’eventuale decisione su un organismo notificato RED non sostituisce quella CRA.
Etichette e verifiche prima della vendita
- Fissare versione di serratura, hub, batterie, alimentatore, firmware e servizi cloud.
- Chiudere la classificazione e la necessità dell’organismo notificato prima della dichiarazione.
- Associare test RF, EMC, sicurezza, sostanze, cyber e meccanica al prodotto finito.
- Controllare CE, modello, dati fabbricante/importatore, frequenza/potenza e istruzioni RED.
- Fornire avvertenze e istruzioni nelle lingue richieste dagli Stati di vendita.
- Controllare separatamente RAEE, batterie, imballaggi, registrazioni e fase PPWR.
- Testare perdita telefono, accesso offline e correzioni; niente dichiarazioni per vie di esodo non comprovate.
Tre configurazioni e condizioni per l’immissione sul mercato
| Configurazione | Iter preliminare | Motivo per sospendere la vendita |
|---|---|---|
| Motore BLE solo locale, batterie sostituibili | RED, probabilmente RoHS; batterie, RAEE, imballaggi e rischi residui. Documentare l’assenza di percorso internet. | Mancano prova RF, architettura locale o sblocco manuale sicuro. |
| Serratura Wi‑Fi/cloud con chiavi ospiti | RED e parti applicabili del 2022/30, GDPR, RoHS, rifiuti/imballaggi, preparazione CRA. | Non dimostrate revoca, aggiornamenti, riserve EN 18031 o flussi dati. |
| Serratura da hotel per uscita di emergenza | Iter precedenti e verifica ferramenta, esodo, montaggio e porta completa. | Non provate uscita o compatibilità, oppure resistenza al fuoco pubblicizzata senza prove. |
Gestione delle modifiche dopo il lancio
Collegare ogni prova alle versioni di hardware e firmware. Rivalutare prima di un nuovo lotto quando cambiano:
- Chip RF, antenna, alimentazione o involucro → rivalutare radio, EMC, sicurezza e RED.
- Gateway, apertura remota o pagamenti → riesaminare 2022/30 e sicurezza informatica.
- Biometria, analisi o hosting extra UE → riesaminare GDPR e protezioni.
- Tipo di porta, cassa serratura, promessa di esodo o chimica batteria → rischi meccanici e documenti ambientali.
Fonti normative e guide ufficiali
Le fonti primarie disciplinano la classificazione. Una norma conferisce presunzione di conformità solo entro il proprio ambito e secondo le restrizioni della Gazzetta ufficiale.
- Direttiva sulle apparecchiature radio
- Norme delegate di cybersicurezza radio
- Modifica della data di applicazione
- Norme armonizzate e restrizioni
- Regolamento sulla cyberresilienza
- Restrizione delle sostanze pericolose
- Rifiuti di apparecchiature elettriche
- Batterie e relativi rifiuti
- Protezione dei dati personali
- Sicurezza generale dei prodotti
- Imballaggi e rifiuti di imballaggio
- Operatori economici responsabili nell’UE
- Procedura ufficiale per la marcatura CE
- Abrogazione e transizione al CRA
- Definizioni ufficiali delle categorie CRA, regolamento 2025/2392
- Commissione europea: segnalazioni CRA
- Direttiva sulla compatibilità elettromagnetica (senza radio)
- Direttiva bassa tensione (limiti di tensione)
Domande frequenti sulle serrature intelligenti
Il CE del modulo Bluetooth certifica l’intera serratura?
No. Prodotto finito, antenna, involucro, alimentazione e software richiedono una valutazione e dichiarazione proprie.
BLE senza Wi‑Fi esclude sempre i requisiti cyber RED?
No. Verificare comunicazioni internet via telefono/gateway e altre categorie previste.
Ogni serratura richiede un organismo notificato?
No. Dipende dai requisiti RED applicabili e dalle norme pubblicate; CRA segue un diverso percorso.
Una serratura ordinaria può essere promossa per vie di fuga?
Solo con prove riferite alla porta, alla ferramenta e alle condizioni di esodo.
GDPR e cybersicurezza UE coincidono?
No. RED/CRA disciplinano il prodotto; GDPR disciplina i trattamenti di dati personali, ruoli e diritti.
Tutte le serrature elettroniche, comprese quelle solo alberghiere, sono automaticamente classe I CRA?
No. L’allegato III va letto insieme alla categoria 17 del regolamento 2025/2392: contano la sicurezza fisica di consumatori in ambito residenziale e il controllo o la gestione remota da un altro sistema. I modelli solo professionali o isolati richiedono una valutazione separata; essere fuori dalla categoria 17 non esclude automaticamente il CRA.